Beretning om statens it-beredskab

Den 4. november 2022 behandlede Statsrevisorerne

Beretning nr. 3/2022 om statens it-beredskab

Statsrevisorerne afgav beretningen til Folketinget med følgende bemærkning:

"Statsrevisorerne har anmodet om denne undersøgelse af, om staten har et tilfredsstillende it-beredskab. 

Undersøgelsen viser, at it-beredskabet for 13 udvalgte samfundskritiske systemer er så utilfredsstillende, at det har været nødvendigt for Rigsre­visionen at afgive en fortrolig beretning herom til Statsrevisorerne og i forlængelse heraf denne korte beretning. 

Statsrevisorerne kritiserer, at de undersøgte myndigheder ikke har et tilfredsstillende it-beredskab, der kan sikre, at en række samfunds­kritiske opgaver uforstyrret og fortsat kan løses, selv om der skulle ske større it-nedbrud eller datatab. 

Statsrevisorerne finder det særdeles nødvendigt, at de undersøgte myndigheder hurtigst muligt får rettet op på de mangler i it-bered­skabet, som Rigsrevisionen har påpeget. Det gælder ikke mindst udarbejdelse af tilfredsstillende reetableringsplaner, der kan sikre, at myndighederne hurtigt kan vende tilbage til normal drift i tilfælde af større it-nedbrud, hackerangreb, fysiske skader e.l. 

Statsrevisorerne forventer, at alle de statslige myndigheder på baggrund af denne beretning undersøger og sikrer et effektivt it-beredskab. Statsrevisorerne vil desuden følge op med yderligere beretninger om it-beredskabet for andre samfundskritiske it-systemer. 

Selv om ministeriernes svarfrist er lovbestemt til mindst 2 måneder, finder Statsrevisorerne, at de ansvarlige ministre bør komme med deres redegørelse hurtigst muligt og helst inden 1 måned, da Rigsrevisionen har konstateret meget alvorlige sikkerhedsbrister i de 13 samfundskritiske systemer."

Beretning nr. 3/2022 om statens it-beredskab

Sagen optages i Endelig betænkning 2022 som fortsat sag med følgende statsrevisorbemærkning:

"Statsrevisorerne konstaterer, at de undersøgte myndigheder har iværksat hurtige og relevante tiltag, der skal rette op på de alvorlige mangler i it-beredskabet, som Rigsrevisionen har påpeget. 

Statsrevisorerne og Rigsrevisionen vil følge udviklingen tæt, ikke mindst myndighedernes udarbejdelse og test af reetableringsplaner, der kan sik­re, at myndighederne hurtigt kan vende tilbage til normal drift i tilfælde af større it-nedbrud, hackerangreb, fysiske skader e.l. 

Statsrevisorerne konstaterer, at de ansvarlige ministre med en enkelt undtagelse har fundet det nødvendigt at afgive deres redegørelse til beretningen i fortrolig form. Statsrevisorerne har bedt de ansvarlige ministre om at oplyse, hvornår beskyttelseshensynet efter forvaltningsloven og/eller straffeloven ikke længere er til stede, og fortroligheden kan ophæves, hvorefter beretningen – og dermed oplysninger om, hvilke ministerier og hvilke it-systemer den omhandler – kan offentliggøres. 

Statsrevisorerne sendte i november 2022 en opfordring til alle ministre om at styrke it-beredskabet. Statsrevisorerne og Rigsrevisionen fandt på baggrund af beretningen, at det er påkrævet, at alle ministerier identificerer, hvilke samfundskritiske it-systemer der er på ministerområdet og gennemgår it-beredskabet for systemerne. Statsrevisorerne forventer således, at alle ministerier undersøger og sikrer et effektivt it-beredskab for ministeriets samfundskritiske it-systemer."

Beretning nr. 3/2022 om statens it-beredskab

Sagen optages i Endelig betænkning 2024 som fortsat sag med følgende statsrevisorbemærkning:

"Statsrevisorerne finder det utilfredsstillende og bekymrende, at to myndigheder, hvoraf den ene hører under Transportministeriet, fortsat ikke har gennemført tilstrækkelige tiltag for at rette op på manglerne i deres it-beredskab, til trods for at Statsrevisorerne for mere end 3 år siden indskærpede og fandt det særdeles nødvendigt, at de undersøgte myndigheder hurtigst muligt fik rettet op på de mangler i it-bered­skabet, som Rigsrevisionen havde påpeget.

Rigsrevisionens seneste opfølgning viser, at de to myndigheder stadig ikke er i mål med tests af it-systemernes reetableringsplaner, og at Transportministeriet derudover fortsat ikke har ført et egentligt tilsyn med it-beredskabet hos myndighed 1.

Statsrevisorerne skal anmode transportministeren og ministeren, som har ressortansvaret for myndighed 2, om at oplyse, hvad tidshorisonten er for at rette op på manglerne i deres it-beredskab."